علی‌اکسپرس بدون اطلاع کاربر اسکریپت‌هایی را در وب‌سایت خود قرار داده که اثر انگشت مرورگر و دستگاه او را ثبت می‌کند.

محققان متوجه شده‌اند وب‌سایت فروشگاه چینی علی‌اکسپرس کدی را در صفحه اصلی خود اجرا می‌کرد که با استفاده از قابلیت‌های صوتی مرورگر، بدون پخش صدای قابل شنیدن، از دستگاه کاربران اطلاعاتی برای ساخت نوعی اثر انگشت دیجیتال جمع‌آوری می‌کرد. این روش به کوکی نیاز ندارد و می‌تواند به شناسایی و ردیابی یک دستگاه در طول زمان کمک کند.

طبق گزارش‌ها، این موضوع زمانی آشکار شد که یک توسعه‌دهنده هنگام باز بودن تب علی‌اکسپرس با مشکل استفاده از هدفون بلوتوث مواجه شد. هدفون نمی‌توانست به‌درستی از رایانه به گوشی منتقل شود، اما پس از بستن تب علی‌اکسپرس، مشکل برطرف شد.

بررسی کدهای وب‌سایت نشان داد علی‌اکسپرس از Web Audio API برای ایجاد نمودارهای پردازش صوتی با سطح صدای صفر استفاده می‌کرد. این فرایند صدایی تولید نمی‌کرد، اما همچنان به سیستم صوتی رایانه متصل بود و مسیر صوتی را در پس‌زمینه فعال نگه می‌داشت؛ مسئله‌ای که ظاهراً باعث اختلال در عملکرد هدفون شده بود.

ردیابی و ثبت اثر انگشت کاربران توسط علی‌اکسپرس
این کد می‌تواند برای دریافت اثر انگشت مرورگر نیز استفاده شود؛ روشی که با جمع‌آوری مشخصات منحصربه‌فرد دستگاه، امکان شناسایی مرورگر در طول زمان را فراهم می‌کند. در این مورد، اسکریپت‌ها تفاوت‌های بسیار جزئی در نحوه پردازش یک سیگنال صوتی یکسان را اندازه‌گیری می‌کردند؛ تفاوت‌هایی که تحت‌تأثیر پردازنده، سخت‌افزار صوتی، سیستم‌عامل، مرورگر و درایورهای دستگاه قرار دارند.

اندازه‌گیری‌های صوتی تنها بخشی از داده‌های جمع‌آوری‌شده بودند. این اسکریپت‌ها اطلاعات مربوط به رندر Canvas، فناوری WebGL، تنظیمات نمایشگر، پیکربندی سخت‌افزار، عملکرد WebRTC و تعاملات کاربر را نیز جمع‌آوری می‌کردند. ترکیب این داده‌ها می‌تواند پروفایل دقیق‌تری از دستگاه ایجاد کند.

ثبت اثر انگشت معمولاً برای جلوگیری از کلاهبرداری، شناسایی ربات‌ها و ارزیابی ریسک استفاده می‌شود؛ اما فعالان حریم خصوصی نسبت به آن نگرانی‌هایی دارند، زیرا ممکن است کاربران از انجام این فرایند مطلع نباشند و کنترل محدودی بر آن داشته باشند.

Brave از نخستین مرورگرهایی بود که این رفتار علی‌اکسپرس را شناسایی و درباره آن اظهارنظر کرد. این شرکت در پستی اعلام کرد مرورگرش اسکریپت‌های علی‌اکسپرس را مسدود می‌کند و بیش از شش سال است به‌صورت پیش‌فرض از کاربران در برابر ثبت اثر انگشت صوتی محافظت می‌کند.

کاربران سایر مرورگرها نیز ممکن است بتوانند چنین اسکریپت‌هایی را با ابزارهای مسدودکننده محتوا مانند uBlock Origin مسدود کنند؛ هرچند این کار ممکن است بخش‌هایی از علی‌اکسپرس را که از همین کدها برای امنیت یا جلوگیری از کلاهبرداری استفاده می‌کنند، مختل کند.